amazon-web-services - 尽管有政策，CloudFormation 仍无法访问模板中的 SSM 参数

Question

我正在尝试部署一个 CloudFormation 模板，该模板使用此博文中描述的方法从 SSM 提取一些参数:https://aws.amazon.com/blogs/mt/integrating-aws-cloudformation-with-aws-systems-manager-parameter-store/

CF 模板参数部分的相关摘录如下:

"ZoneName" : {
   "Type" : "AWS::SSM::Parameter::Value<String>",
   "Description" : "DNS Hostname Zone",
   "Default" : "/Deimos/ZoneName"
},
"ZoneId" : {
   "Type" : "AWS::SSM::Parameter::Value<String>",
   "Description" : "DNS Hostname Zone",
   "Default" : "/Deimos/ZoneId"
},

但是，当我尝试部署它(通过 CodePipeline)时，出现以下错误:

Action execution failed
AccessDenied. User doesn't have permission to call ssm:GetParameters (Service: AmazonCloudFormation; Status Code: 400; Error Code: ValidationError; Request ID: d6756fbe-fd41-4ac5-93bd-56e5b397445e)

我为 CloudFormation 设置了角色和策略，其中包括以下部分，用于授予对 SSM 中某些参数命名空间的访问权限:

    {
        "Sid": "XonoticCFFetchParameters",
        "Effect": "Allow",
        "Action": [
            "ssm:GetParameters",
            "ssm:GetParameter"
        ],
        "Resource": [
            "arn:aws:ssm:*:<aws account #>:parameter/Deimos/*",
            "arn:aws:ssm:*:<aws account #>:parameter/Installers/*",
            "arn:aws:ssm:*:<aws account #>:parameter/Xonotic/*"
        ]
    },

根据使用，这些似乎已经应用得很好

aws iam simulate-principal-policy --policy-source-arn "arn:aws:iam::<aws account #>:role/Xonotic-CloudFormationDeploy" --action-names "ssm:getParameters" --resource-arns "arn:aws:ssm:*:<aws account #>:parameter/Deimos/ZoneName"
{
    "EvaluationResults": [
        {
            "EvalActionName": "ssm:getParameters",
            "EvalResourceName": "arn:aws:ssm:*:<aws account #>:parameter/Deimos/ZoneName",
            "EvalDecision": "allowed",
            "MatchedStatements": [
                {
                    "SourcePolicyId": "Xonotic-Deployment",
                    "StartPosition": {
                        "Line": 3,
                        "Column": 19
                    },
                    "EndPosition": {
                        "Line": 16,
                        "Column": 10
                    }
                }
            ],
            "MissingContextValues": []
        }
    ]
}

因此，我正在使用的角色应该具有获取相关参数所需的访问权限，但它不起作用，而且我没有什么可检查的。

Answer 1

好吧 - 所以在这种情况下，事实证明有一个 JSON 参数文件是构建管道的一部分，它用无效值覆盖我的参数之一(它将实际区域名称放入 ZoneName)。

修复了这个问题，参数现在可以很好地传递到我的构建过程中。